취약점 메타데이터 관점에서 CycloneDX와 SPDX 비교 분석 및 상호운용성 고려사항
Comparative Analysis of CycloneDX and SPDX from Vulnerability Metadata Perspective and Considerations for Interoperability
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
CycloneDX와 SPDX는 소프트웨어 공급망 보안 관리를 위한 SBOM(Software Bill of Materials) 표준으로 널리 사용되고 있으며, 최근 비슷한 시기에 각각 취약점 관리 효율성과 소프트웨어 공급망의 투명성을 높이기 위한 업데이트를 수행하였다. 본 논문에서는 두 표준의 최신 업데이트 내용을 살펴보고 취약점 메타데이터를 중심으로 이를 비교하였다. 비교 결과, CycloneDX는 취약점 관리 중심의 접근을, SPDX는 취약점 평가 중심의 접근 기법을 사용한 것으로 판단된다. 또한, 두 표준의 상호 운용 가능성에 대해서 분석하였고, 취약점 정보 표현 방식의 차이와 제약사항으로 인해 완전히 변환이 어려운 부분을 식별하였고, 변환 방안을 일부 제안하였다.
Abstract
CycloneDX and SPDX are widely used SBOM (Software Bill of Materials) standards for software supply chain security management. Recently, both standards underwent updates aimed at improving vulnerability management efficiency and enhancing the transparency of the software supply chain. This paper reviews the latest updates to both standards and compares them with a focus on vulnerability metadata. The comparison reveals that CycloneDX adopts a vulnerability management-focused approach, while SPDX takes a vulnerability assessment-centered approach. Additionally, an analysis of the interoperability between the two standards was conducted, identifying challenges in complete conversion due to differences in how vulnerability information is represented and certain constraints. Some potential solutions for addressing these conversion challenges are also proposed.